Composer怎么查看包许可证 Composer项目合规性检查技巧-composer-PHP中文网

composer show vendor/package-name是唯一原生命令起点，需已执行install/update，仅查显式声明包，不处理传递依赖或自动解析license文件；license字段值如"see license in license.md"需手动核对原文。

composer怎么查看包许可证 composer项目合规性检查技巧

Composer 没有内置的 composer licenses 命令能“一键查全量许可证”——你运行它报错不是环境问题，是官方压根没实现这个功能。真正可落地的合规检查，得靠组合策略：用 composer show 抓源头声明，用 composer.lock 提前卡点，再用插件补传递依赖和模糊值。

怎么用原生命令快速看一个包的 license 字段

composer show vendor/package-name 是唯一不依赖插件、不联网、不解析文件的可靠起点。它读的是 vendor/ 下已安装包的 composer.json 里的 license 字段，结果稳定但限制明确：

必须已执行过 composer install 或 composer update，否则报 Package not found
只查 composer.json 中显式声明的包，symfony/polyfill-intl-idn 这类传递依赖完全不会出现
字段值照搬不处理：遇到 "license": "SEE LICENSE IN LICENSE.md"，它绝不会自动打开文件，你得手动进 vendor/vendor/package/LICENSE.md 核对全文
支持通配符，比如 composer show monolog/* 可一次列出整个 monolog 生态的 license 值

如何在 CI 里不依赖 vendor 目录提前筛查风险

CI 流程不能等 composer install 完成才开始合规检查。更高效的做法是直接解析 composer.lock，它记录了所有即将安装的包及其元数据：

Workflow Decomposer

工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。

下载

用 jq -r '.packages[] | "\(.name)\t\(.version)\t\(.license // ["unknown"] | join(" | "))"' composer.lock 提取结构化清单
注意：有些包在 lock 文件里 license 字段为空或为 URL（如 "https://example.com/LICENSE"），jq 会输出 unknown，这类必须人工确认
该方式不依赖 vendor/，适合 CI 早期阶段卡点；但结果可能与 composer show 不一致——这是常态，不是 bug，因为两者数据源不同

为什么 zicht/composer-license-plugin 是目前最稳的批量方案

当需要覆盖传递依赖、标准化模糊 license 值、并尝试读取实际 LICENSE 文件时，zicht/composer-license-plugin 是当前最成熟的第三方选择：

安装：composer require --dev zicht/composer-license-plugin
导出：composer licenses --format=json > licenses.json，它会递归扫描所有依赖（含 require-dev 和传递依赖）
它能把 "The MIT License" 归一化为 MIT，把 "SEE LICENSE IN LICENSE.md" 替换为实际匹配到的 SPDX ID（如 MIT 或 GPL-3.0-only）
对私有 fork（如 "repositories": [{"type": "vcs", "url": "git@"}]）默认跳过，得先 composer archive 导出再人工审计

license 字段只是线索，不是法律凭证

看到 "license": "MIT" 不代表合规，它只是作者填的字符串，无强制校验：

MIT、mit、The MIT License 都不是有效 SPDX 标识符；合规工具只认 MIT
GPL-2.0-only 和 GPL-2.0-or-later 法律效力完全不同，但 composer show 不区分，也不会提示
空值、proprietary、unlicensed 必须立刻标记——它们意味着法律盲区，不能靠“大概率是 MIT”跳过
最终判断必须去源码仓库根目录找 LICENSE 或 LICENSE.md，用正则匹配全文（比如搜 GNU GENERAL PUBLIC LICENSE.*Version 3），否则过不了 ISO 合规审计